قراصنة روس يستهدفون مستخدمي “آيفون” في أوكرانيا بأدوات تجسس متطورة لسحب البيانات والعملات المشفرة

كشف باحثون في الأمن السيبراني عن حملة تجسس تقف وراءها مجموعة يُشتبه في ارتباطها بالحكومة الروسية، استهدفت مستخدمي هواتف “آيفون” في أوكرانيا باستخدام ترسانة جديدة من أدوات الاختراق المصممة لسرقة البيانات الشخصية، مع إمكانية الوصول إلى محافظ العملات المشفرة.

وقام خبراء من “جوجل” وشركتي الأمن “iVerify” و”Lookout” بتحليل الهجمات السيبرانية الأخيرة التي نفذتها مجموعة تُعرف تقنياً باسم “UNC6353”. وأوضح الباحثون أن هذه الحملة، التي اعتمدت على اختراق مواقع إلكترونية شرعية، مرتبطة بنشاط تم اكتشافه مطلع الشهر الجاري، وتستخدم حزمة برمجيات خبيثة أُطلق عليها اسم “Darksword”.

“Darksword”: حقبة جديدة من برمجيات التجسس المتخفية

يشير اكتشاف أداة “Darksword” إلى أن برمجيات التجسس المتطورة والقوية التي تستهدف أجهزة “آيفون” قد لا تكون نادرة كما كان يُعتقد سابقاً. ومع ذلك، يلاحظ الخبراء أن الحملة اقتصرت جغرافياً على المستخدمين داخل أوكرانيا، مما يعكس نوعاً من الانضباط في العمليات لتجنب إثارة ضجة عالمية قد تنجم عن استهداف واسع النطاق خارج حدود الصراع.

وتشير التقارير إلى وجود رابط بين هذه الأداة وبرمجية سابقة تُدعى “Coruna”، والتي صُممت في الأصل للاستخدام من قبل حكومات غربية، وتحديداً دول تحالف “العيون الخمس” الاستخباراتي. ويبدو أن المهاجمين نجحوا في تطوير أدواتهم بناءً على ثغرات أمنية حديثة لضمان فاعلية أكبر في اختراق الأنظمة المحدثة.

آلية العمل: استراتيجية “الاقتحام والخروج السريع”

صُممت أداة “Darksword” لسرقة مصفوفة واسعة من المعلومات الحساسة، وتشمل أهدافها الأساسية ما يلي:

• كلمات المرور والصور الشخصية المخزنة على الجهاز.
• مراسلات تطبيقات “واتساب” و”تليجرام” والرسائل النصية (SMS).
• سجل تصفح الإنترنت والبيانات التعريفية.

وبخلاف برمجيات التجسس التقليدية التي تسعى للبقاء لفترات طويلة لمراقبة الضحية، تعتمد “Darksword” على مبدأ “السرقة الخاطفة”. وبحسب باحثي “Lookout”، فإن مدة بقاء البرمجية على الجهاز قد لا تتجاوز دقائق معدودة، وهي الفترة الكافية لجمع البيانات وتصديرها ثم الاختفاء تماماً لتجنب الاكتشاف.

تحول في الدوافع: من التجسس السياسي إلى السرقة المالية

من المثير للاهتمام أن “Darksword” تمتلك قدرات مدمجة لسرقة العملات المشفرة من تطبيقات المحافظ الشهيرة، وهو سلوك غير مألوف للمجموعات المدعومة من الدول التي تركز عادةً على المعلومات الاستخباراتية. ويرى الخبراء أن هذا التطور قد يشير إلى دافع مالي لدى المهاجمين، أو ربما توسيع لنطاق العمليات السيبرانية الروسية لتشمل استنزاف الموارد المالية للخصوم.

ووصف الخبراء البرمجية بأنها “احترافية” للغاية بفضل هيكليتها القائمة على الوحدات (Modular design)، مما يسهل إضافة وظائف جديدة إليها بسرعة. ويرجح “روكي كول”، المؤسس المشارك لشركة “iVerify”، أن الجهة التي زودت الحكومة الروسية ببرمجية “Coruna” سابقاً قد تكون هي نفسها من يقف وراء تزويدها بـ “Darksword”.

الاستهداف الجغرافي والضحايا

أكدت التحليلات أن الإصابة بالعدوى لم تكن تستهدف أفراداً بعينهم بالاسم، بل كانت مصممة لتصيب أي مستخدم يزور مواقع أوكرانية معينة طالما أنه يتصفحها من داخل النطاق الجغرافي لأوكرانيا. هذا الأسلوب يجعل من الحملة عملية “تطهير بيانات” واسعة النطاق تستهدف المجتمع الرقمي الأوكراني بشكل عام.

المصدر: TechCrunch